Sådan hjælper sikkerhedsfirmaerne med indsamle bevismateriale 1
Ultrakort 2
Helt generelt Der findes ingen danske standarder for sikring af elektroniske beviser Kravene og forståelsen af sikring af elektroniske beviser til brug i de danske retssale er ikke specielt store sammenlignet med bla. Holland og USA Der er ingen internet udbydere der oplyser hvem der er bag en specifik ip adresse med mindre der foreligger en dommerkendelse. Nogle sikkerhedsfirmaer har et samarbejde med NC3, hvilket betyder at får man hjælp fra et sikkerhedsfirma vil de efter aftale kunne videregive de informationer NC3 kunne have interesse for. Selvom der ikke er tale om en konkret anmeldelse. erne læner sig ofte op af begrebet og standarder omkring Chain of Custody Lars Neupart vil med garanti komme nærmere ind på hvordan I som virksomhed bør have processer der sikre beviser indtil Politiet / erne komme på banen. 3
Vigtigt at afgøre inden handling Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 4
Scenarier fra det virkelige liv En virksomhed får mistanke om at en af deres medarbejder distribuerer børneporno fra virksomhedens pc. Virksomheden kontakter NC3 der i samarbejde med virksomhedens it-afdeling iværksætter de nødvendige tiltag. Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 5
Scenarier fra det virkelige liv Et voldsomt forbrug af en virksomhed routers regnekraft (cpu load 400%) får itmedarbejderen til at reagerer. Da der findes kompetencer i virksomheden afdækkes det hvad der er sket på routeren og de nødvendige beviser sikres jf. virksomhedens procedure. Da der er tale om hacking for at udnytte routeren til at lave bitcoins og der er flere udenlandske ip adresser involveret, vælger virksomheden at kontakte NC3. Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 6
Scenarier fra det virkelige liv Via en wistleblower ordning får HR et tip om at en medarbejder systematisk henter fortrolige dokumenter fra virksomheden. HR kontakter et sikkerhedsfirma for at sikre beviser til en kommende afskedigelsessag som HR vil være sikre på kan klare en civil retssag i arbejdsretten. Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 7
Scenarier fra det virkelige liv En lagermedarbejder modtager et opkald fra en sikkerhedsmedarbejder hos Microsoft. Sikkerhedsmedarbejderen overbeviser lagermedarbejderen om at det er vigtigt at han installerer et sikkerhedsprodukt da hans pc er blevet ramt at en farlig virus. Efter ca. 15 minutters samtale og adskillige kommandoer som lagermedarbejderen skulle skrive, vælger lagermedarbejderen at ligge på da han fatter mistanke. Ca. 40 minutter efter samtalen vælger lagermedarbejderen at gå til sin chef. Virksomheden vælger at få et sikkerhedsfirma til at undersøge om der er noget der har spredt sig. Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 8
Scenarier fra det virkelige liv En lægepraksis bliver for 2. gang ramt af ransomware og har begge gange rullet deres backup på igen ved hjælp af deres systemhus. Nu vil de gerne finde ud af hvordan ransomwaren er kommet ind og beder et sikkerhedsfirma om at foretage en undersøgelse, således de nødvendige forbyggende tiltag kan opstilles. Hændelse Retssag Ikke retssag Strafferetssag Politi Civil retssag - HR sag - Hvordan - Forebyggelse 9
Incident triage Modstå Forbedre Detekter Lær Reager Genetabler 10
Resumé Når der er en hændelse - så tag så tidligt som muligt i forløbet beslutning om hvorvidt hændelsen kunne ende som strafferetssag Sørg for at passe på de tekniske beviser og dokumenter hvem der har haft adgang til dem hvornår Kontakt på forhånd en eller flere sikkerhedsvirksomheder og tag et uforpligtende møde for at finde ud af hvordan de vil gribe hændelser i din virksomhed an hvis du var kunde hos dem. Vælg hvem du gerne vil have i baghånden. Tal med dit personale om hvad de skal gøre hvis de får mistanke om at noget er galt 11
Bare for at vi ved du får lidt med hjem så er her to gode ting at gøre UDEN DET KOSTER NOGET Forhindre at noget kører fra TMP og TEMP foldere Start EMET 12
13